web-dev-qa-db-ja.com

Debian VPSでIPv6を無効にします（Virtuozzo！）

注：この質問はまだ解決されていません-答えは自動的に受け入れられました。

Parallels/Virtuozzoによって仮想化されて実行されているDebianLennyVPSがあります。現在、ネットワークインターフェイスにはIPv6アドレスがありません。これは、ip6tables構成がないので問題ありません。

しかし、私はいつか目を覚ますことができると思います、そしてifconfigは私にインターフェースのipv6アドレスを表示します-私はカーネルやそのモジュールを制御できないので-それらはホスティング会社の制御下にあります。これにより、サーバーはIPv6アドレスからの攻撃に対して完全に脆弱なままになります。

IPv6を無効にする最良の方法は何ですか（インターフェイスまたはホスト全体に対して）？通常、私は単にカーネルモジュールを無効にしますが、この場合は不可能です。

更新

たぶん私はiptablesとすべてを通常通り使用できることを追加する必要があります（私はVPSのルートです）が、私は方法のためにカーネルに変更を加えたりカーネルモジュールをロードしたりすることはできませんVirtuozzoは動作します（共有カーネル）。

lsmodは常に何も返しません。

ip6tables -Lを呼び出すことができません（insmodが必要である、またはカーネルをアップグレードする必要があると表示されます）。

/etc/modprobe.d/aliasesへの変更が効果があるとは思いませんか？

ネットワーク構成？

/ etc/network /からIPv6をオフにできるかもしれないと思いました...それは可能ですか？

debianvpsipv6virtuozzo
6
Chris Lercher

私はこれをUbuntuでのみテストしましたが、次のことを試すことができます。

echo 1 > /proc/sys/net/ipv6/conf/all/disable_ipv6

そして、これが機能しているように見える場合は、/etc/sysctl.confに以下を追加することで永続的にすることができます。

net.ipv6.conf.all.disable_ipv6=1
7
Shtééf

現在、Debian LennyでIPv6を無効にする最善の方法は、/etc/modprobe.dにipv6.confを含むblacklist ipv6という名前のファイルを作成し、rootとしてdepmod -aeを実行してから実行することです。 update-initramfs -u。

これに関する記事はdebian.orgwikiにあります： http://wiki.debian.org/KernelModuleBlacklisting

幸運を！

--jed

1
Jed Daniels

ここで手足に出かけますが、ホストプロバイダーは通信顧客に対してこのような潜在的なカーネルの変更はありませんか？事前の通知なしにこれが発生すると信じるような何か（カーネルのアップグレードなど）を経験したことがありますか？また、IPv6トラフィックをネットワークとの間でルーティングしていますか？サポートしてそこから行くことへの懸念を表明するだけでよいかもしれません。

1
gravyface

現在、debianでテストすることはできませんが、Redhatでは/ etc/sysconfig/networkファイルを変更して、「NETWORKING_IPV6 = no」を追加できます。

1
nbartolomeo

IPv6への攻撃に対して脆弱にならないようにするためのかなり簡単な方法があります。

世界に開かれてはならないリスニングサービスはありません。少なくとも、サービスを特定のIPv4アドレスにバインドするように強制するだけで、サービスがIPv6をリッスンしていないことを確認する必要があります。 netstat -tuplこれを助けることができます。

ファイアウォールは2つの理由で存在する必要があります：*世界へのアクセスでサービスを保護する制限付き世界へのアクセス（TCPラッパーもここで役立ちます）*あなた自身の過ちからあなたを保護します

1
LapTop006

最善の解決策は、v6をカバーするiptables構成をセットアップすることです。

これに失敗すると、ほとんどのデーモンでは、バインドするインターフェイスアドレスを指定できます。デフォルトはすべてです。必要なv4アドレスを明示的にリストしてください。そうすれば、後で取得した場合でも、v6アドレスで開いたポートを残しません。ただし、発信接続はv6アドレスを優先します。

1
techieb0y

もう1つのオプションは、完全に偽のIPv6設定を構成して、プロバイダーがそれを有効にしても、このシステムではまったく機能しないようにすることです（はい、非常に厄介ですが、IPv6をオンにして誰も何もできないようにするために機能しますあなたのシステム）。

幸運を、

--jed

0
Jed Daniels

ip route del ::/0

iPv6接続を効果的に切断するデフォルトルートを削除します。

0
ramnet

これが役立つかどうかはわかりませんが、 OpenVZ （Virtuozzoオープンソース）はIPv6をサポートしていないようです。

0
sybreon

Ip6tablesのすべてをブロックすると、問題は解決しませんか？また、ipv6を再度有効にすることなく、必要なときにいつでもipv6iptablesを実装できます。

0
HannesFostie